OT & IoT Cybersecurity Report 2024
Dieses Whitepaper richtet sich an Product-Owner, Produkt-Cybersicherheitsmanager und Compliance-Experten von Herstellern, Händlern und Importeuren von vernetzten Geräten, die auf oder innerhalb der Märkte der Europäischen Union vermarkten.
.jpg)
EXECUTIVE SUMMARY
Industrial control systems, known as Operational Technology (OT), along with the Internet of Things (IoT) and Industrial IoT (IIoT), form the digital backbone of Industry 4.0. Today’s production,logistics, and operational processes are virtually unimaginable without OT and IoT. Connected devices, machines, and systems that continuously exchange dataare at the heart of modern industry.
However, this growing connectivity and digitalization also brings new challenges: robust cybersecurity measures are essential, as IoT, IIoT, and OT systems often need to meet high security requirements despite vulnerable software. In 2024, the cybersecurity company ONEKEY surveyed over 300 IT decision-makers and C-level executives about their perspectives and strategies in cybersecurity. The findings from this comprehensive survey are presented in the OT & IoT Cybersecurity Report 2024.
Growing Awareness of Cyber Threats: Nearly 75% of companies recognize that hackers are increasingly targeting industrial control systems and IoT devices.
Insufficient Protective Measures: Many companies lack adequate defenses against cyberattacks, with gaps in realistic risk assessment, effective prevention strategies, and actionable response capabilities.
Compliance Knowledge Gaps: Numerous companies are insufficiently informed about relevant compliance requirements, with nearly half unaware of technical cybersecurity standards.
Outdated Firmware as a Vulnerability: Outdated firmware in devices and machines is increasingly exploited by hackers as an entry point. Attacks on unprotected firmware can be devastating, potentially halting entire production batches.
Lack of Software Bill Of Materials(SBOM): Over half of companies lack complete SBOMs, even though they are essential for effective cybersecurity.
Budget Constraints: 60% of companies rate their cybersecurity budget as inadequate oruncertain, with only 34% considering it “sufficient” or “significant.”
Insufficient Cybersecurity Processes: Only about a quarter of companies rate the maturity of their cybersecurity processes as adequate, with many lacking measures to enhance security practices and meet compliance requirements.
UNDERESTIMATED RISK: OT AND IOT
The study clearly shows that cybersecurity in OT and IoT poses significant risks, yet many companies are still under prepared. More than half of respondents (52%) have already experienced cyberattacks through OT or IoT devices, with just as many suspecting that cybercriminals are specifically targeting these devices as entry points. Nonetheless, OT and IoT cybersecurity is often considered less critical.
"With over 2,000 new software vulnerabilities identified each month, companies that fail to keep their software updated aren't asking if they'll be targeted by cyberattacks, but when— and how severe the consequences will be." Jan Wendenburg, CEO ONEKEY
Instead, many companies are focusing more on protecting payment and financial systems (42%), corporate networks and datacenters (39%), as well as customer data (36%). Email, cloud services, and appsare also perceived as greater threats, while the risks to OT (OperationalTechnology) and IoT (Internet of Things) are often underestimated.
As digitalization advances at the production and logistics level in German industry, a growing number of security gaps are emerging — creating new points of attack for cybercriminals.
CYBER RESILIENCE: A REALISTIC SELF-ASSESSMENT
Over a quarter (26%) of companies consider their cybersecurity maturity in product and project development to be 'adequate,' thanks to a defined and active security process. An additional 12% have security processes in place but deem their control measures insufficient. Meanwhile, 9% of companies report having no such processes at all.
Companies focus on a variety of measures to enhance their cyber resilience: 36% conduct threat analyses, 23% use penetration testing, 22% rely on intrusion detection systems, and 15% focus onvulnerability assessments. Network segmentation to limit the impact of attacks is implemented by 19% of companies. Notably, 38% of companies consider the security guarantees of their IT service providers and suppliers to be the 'most important' measure.
Regarding budget allocation, one-third of respondents consider the funds for defending against cyberattacks to be 'limited' and see room for improvement. In 27% of companies, the cybersecurity budget situation is unclear. Only 34% have an 'adequate' or 'significant' budget to strengthen their cyber resilience.
"Many companies appear to prioritize cybersecurity only after an incident has already taken place." Jan Wendenburg, CEO ONEKEY
Less than a third (32%) of the companies surveyed in the study have implemented procedures to learn from security incidents and make necessary improvements. Given the ongoing threat landscape, predefined business processes that govern how to handle cyberattacks both during and after an incident should be part of every company’s security repertoire.
On a positive note, a good third (34%) of companies conduct a thorough analysis and assessment of a security incident following a cyberattack, in order to derive concrete improvement measures.
LACK OF KNOWLEDGE OF LEGAL CYBERSECURITY REQUIREMENTS
Starting in 2026/2027, the EU Cyber Resilience Act (CRA) will require all manufacturers of devices, machinery, andequipment selling products in the EU to meet enhanced cybersecurity requirements. However, the study reveals that many companies are not yet adequately prepared for this. Only 28% of the surveyed companies have specific compliance regulations for the security of industrial control systems or IIoT devices. For a third (34%), OT or IoT security regulations are part of the company's general cybersecurity policies but are not specifically addressed. Alarmingly, 19% of companies have made no special provisions in this area. One-fifth of respondents were either unable or unwilling to provide information, indicating significant uncertainty and a high level of unknowns.
Less than a third (29%) of respondents report being familiar with the regulations and cybersecurity standards relevant to their industry. About a third (34%) have limited knowledge, while 25% have no knowledge at all. Given typical development times of two to three years, companies that do not act in time risk being unable to sell their products in the EU starting in 2027 if they have not met the requirements by then.
Additionally, 46% of the surveyed companies were unable to specify which cybersecurity standards are relevant to their product development. The importance of these standards is often under estimated: only 23% consider the EU Cyber Resilience Act (CRA) to be relevant. Other standards, such as IEC62443 (20%), EN 303 645 (16%), EN 21434 (14%), and UNR155 (8%), are also seen as important by only a minority. This highlights the significant information gap regarding compliance.
INADEQUATE SECURITY TESTING AND PATCH MANAGEMENT FOR IOT DEVICES
When procuring IoT devices, only 29% of industrial companies conduct thorough security tests. 30% limit themselves to superficial tests or sampling, while 15% perform no security checks at all. There maining companies did not provide any information on this matter.
A similar pattern emerges when analyzing device firmware: less than a third (31%) of companies conduct regular security tests to identify vulnerabilities in the embedded software. 47% test the firmware only occasionally or not at all, and 22% did not provide any information on this matter.
"Anyone who delays applying a patch exposes themselves to significant risk, as cybercriminals specifically exploitthe time window between discovery and resolution." Jan Wendenburg, CEO ONEKEY
Regarding software updates, 33% of companies update their devices immediately after a patch becomes available. In contrast, 31% wait until the next scheduled release, while 10% provide no further updates after delivery. An additional 26% of respondents are unsure about their devices' update policies.
When asked if the cybersecurity of already deployed devices is checked, 28% of companies respond that they do so automatically. 30% conduct occasional manual checks, while 17% perform nofollow-up security assessments. However, waiting for scheduled updates poses significant risks, as cybercriminals often exploit the time window between discovery and resolution.
SBOM: IMPLEMENTATION STILL LACKING
According to the survey, fewer than a quarter (24%) of industrial companies maintain a complete Software Bill Of Materials (SBOM). While software for computers and networks is usually documented, many companies lack an overview of the software in devices, machinery, and equipment. This is problematic, as outdated software in controlsystems is a common entry point for hackers. Typical examples include manufacturing robots, CNC machines, and building automation systems. These systems are connected to the company network, creating a significant attack surface. However, the majority of companies either have no SBOM or only an incomplete one.
TRAINING AND AUDITS: ESSENTIAL FOR STRONG CYBERSECURITY AWARENESS
A positive trend is emerging, but there is still significant room for improvement. 40% of industrial companies offer their employees regular cybersecurity training and workshops. 27% have integrated cybersecurity rules into their employee handbooks and company policies.
Additionally, 62% of the surveyed companies conduct regular cybersecurity audits. 24% rely on external assessments, 18% on internal audits, and 20% use a combination of both approaches. However, formore than a third of companies, it is unclear whether and to what extent regular cybersecurity reviews are conducted.
BACKGROUND
NEW EUROPEAN CYBER RESILIENCE ACT (CRA) AIMS AT INCREASING SECURITY LEVEL AND TRANSPARENCY
On September 15, 2022, the European Union Agency for Cybersecurity (ENISA) published the draft of the new Cyber Resilience Act (CRA), which came into force on December 10, 2024, following adjustments and approval by the EU. The CRA applies throughout the European Union and worldwide to all manufacturers, importers and distributors of products with digital elements that market their products in the EU.
The CRA aims at increasing the level of security of all products with digital elements within the European Union by requiring manufacturers to implement and maintain a cybersecurity framework and to follow this framework throughout the product’s lifecycle. Additionally, enhanced transparency about security properties will enable consumers and businesses to take security-conscious decisions and use products with digital elements more securely.
LIMITED TIME TO ACT FOR PRODUCTS WITH DIGITAL ELEMENTS
This initiative by the ENISA follows increasing damage caused by cybercrime, which resulted in global costs of more than EUR 5.5 trillion in 2021 . Many of these cyberattacks are caused by vulnerabilities in products with digital elements and aggravated by lack of transparency by manufacturers about relevant security properties. While the CRA targets a broad scope of “products with digital elements”, ranging from operating systems, desktop and mobile applications to hardware devices and network equipment, this whitepaper will focus on connected devices and target manufacturers, distributors, and importers of such devices.
The CRA was adopted by the European Commission as a European Directive in 2024 and came into force on December 10, 2024. This leaves little time – even with the transition period until December 10, 2026 – to adopt the necessary reporting requirements and fulfill the remaining fundamental requirements.Due to multi-year design & development cycles, all manufacturer need to act now. Only devices regulated by Regulation (EU) 2018/1139 (civil aviation), Regulation (EU) 2017/745 (medical devices), Regulation
(EU) 2017/746 (in vitro diagnostic medical devices), or devices certified in accordance with Regulation (EU) 2019/2144 (type-approval motor vehicles and their trailers, and systems, components and separate technical units intended for such vehicles...) are exempt
from the CRA. With the average multi-year timespan between design and production of connected devices this leaves little time
for adoption and applying necessary security changes.
ÜBERBLICK ÜBER DIE CRA ANFORDERUNGEN
Während der CRA erweiterte Sicherheitsverpflichtungen für die Erfüllung der grundlegenden Sicherheitsanforderungen festlegt, wie z. B. Konformitätsbewertungen durch Dritte für kritische Produkte (sowohl für Klasse I als auch für Klasse II), bleiben die zugrunde liegenden Anforderungen für alle Produkte gleich. Die neuen Anforderungen der CRA lassen sich grob in die drei Kategorien Governance, Produktentwicklung und Berichterstattung einteilen:
ANFORDERUNGEN AN DIE PRODUKTENTWICKLUNG
1. Anforderungen, die das Produkt selbst betreffen, definieren ein Mindestmaß an Sicherheitseigenschaften, um das Produkt vor Cyberangriffen zu schützen und sein Sicherheitsniveau zu erhöhen.
ANFORDERUNGEN AN DIE UNTERNEHMENSFÜHRUNG
2. Anforderungen, die sich auf die Prozesse des Softwareentwicklungszyklus (SDLC) des Herstellers auswirken, wie Konzept und Design, Entwicklung, Produktion und Markteinführung sowie Service und Support, sollen die Sicherheit erhöhen, sichere Produkte zu entwickeln und ihr Sicherheitsniveau auf wiederholbare, transparente und nachhaltige Weise aufrechtzuerhalten, die mit angemessenen Sicherheitskontrollen messbar ist.
ANFORDERUNGEN AN DIE BERICHTERSTATTUNG
3. Melde- und Informationspflichten gegenüber den Überwachungsbehörden und Nutzern von Produkten über ausgenutzte Sicherheitslücken und Vorfälle, die das Produkt betreffen, stellen sicher, dass Maßnahmen zur Schadensbegrenzung zeitnah umgesetzt werden können. Ziel ist es, den Zeitrahmen, in dem sowohl Endnutzer als auch Anbieter kritischer Infrastrukturen durch kritische Sicherheitslücken Cyberbedrohungen ausgesetzt sind, zu minimieren, um das allgemeine Sicherheitsniveau der europäischen digitalen Infrastruktur zu erhöhen, indem bereitgestellte Korrekturen oder Zwischenmaßnahmen ergriffen werden, um die Auswirkungen der Sicherheitslücke zu verringern.
CRA-ANFORDERUNGEN DECKEN SICHERHEITSLÜCKEN IN DER LIEFERKETTE AB
Die folgende Abbildung gibt einen Überblick über die wichtigsten Anforderungen und deren Zusammenhang mit den jeweiligen Phasen des Produktsicherheitslebenszyklus. Ihr Zweck besteht darin, tiefgreifende und sichere Schutzansätze zu unterstützen und zu gewährleisten, mit dem Ziel, die Gewissheit zu schaffen, dass die Produkte die erhöhten Sicherheitserwartungen des europäischen Marktes erfüllen. Eine zentrale Anforderung des CRA ist das Risikomanagement in der Lieferkette.
.jpg)
RISIKEN IN DER LIEFERKETTE
In modernen Anwendungen bestehen 80%-90% der Codebasis aus Softwarekomponenten von Drittanbietern — sowohl Open-Source-Komponenten als auch proprietärer Software.3 Diese reichen von Kryptobibliotheken, die zur Sicherung vertraulicher Informationen bei der Übertragung verwendet werden, bis hin zu Closed-Source-SDKs zur Steuerung von Hardwaremodulen von Drittanbietern, die in angeschlossenen Geräten enthalten sind. Da ein Großteil der Codebasis nicht unter der direkten Kontrolle des Herstellers steht, wird ein erheblicher Teil des Risikos und der Gefährdung verbundener Geräte von Softwarekomponenten von Drittanbietern übernommen. Zu den Risiken gehören:
RISIKEN DURCH DRITTE BLEIBEN VERBORGEN
Mangelnde Sichtbarkeit: Während direkte Abhängigkeiten und Einschlüsse von Komponenten von Drittanbietern oft bekannt sind, endet die Lieferkette selten dort. Komponenten von Drittanbietern sind in der Regel auf weitere Abhängigkeiten angewiesen, die wiederum wiederum Abhängigkeiten haben. Die gesamte Lieferkette transparent zu machen, ist noch schwieriger, wenn der Quellcode der betroffenen Komponenten nicht verfügbar ist, wie dies häufig bei Importeuren oder Händlern von angeschlossenen Geräten der Fall ist.
SOFTWARE VON DRITTANBIETERN KANN DAS ALLGEMEINE SICHERHEITSNIVEAU SENKEN
Niedrigere Sicherheitsstandards: Die Entwicklungspraktiken sowie das Sicherheitsniveau von Anbietern von Open-Source-Komponenten und kommerziellen Standard-Softwarekomponenten (COTS) von Drittanbietern werden selten überprüft. Dies führt zu Szenarien, in denen ein erheblicher Teil des Endprodukts möglicherweise nicht den Sicherheitsanforderungen des Herstellers entspricht, was den Sicherheitsstandard des gesamten Produkts senkt.
SOFTWARE VON DRITTANBIETERN KANN EBENFALLS ANFÄLLIG SEIN
Anfällige Komponenten: Jeder Dritthersteller arbeitet in unterschiedlichen Intervallen daran, neue Versionen für seine Softwarekomponenten bereitzustellen. Darüber hinaus würde die Aktualisierung einer solchen Abhängigkeit in einem angeschlossenen Gerät strenge Tests erfordern, um unbeabsichtigte Nebenwirkungen und die Beeinträchtigung vorhandener Funktionen zu vermeiden — insbesondere, wenn das Gerät Sicherheitsanforderungen erfüllt. Das hat zur Folge, dass Softwarekomponenten von Drittanbietern, die einmal im Lieferumfang enthalten waren, selten aktualisiert werden, selbst wenn neuere Versionen Sicherheitsupdates enthielten.
ANGREIFER KONZENTRIEREN SICH ZUNEHMEND AUF DIE LIEFERKETTE
Angriffe auf die Lieferkette: Lieferketten sind in den Fokus von Cyberkriminellen gerückt, da sie als lukrativer Einstiegspunkt in die Infrastruktur ihrer Ziele gelten. Bedrohungsakteure haben begonnen, aktiv Hintertüren in Open-Source-Komponenten einzubauen und Malware über Open-Source-Repositorys zu verbreiten.
GEGENMASSNAHMEN GEGEN LIEFERKETTENRISIKEN
ANFORDERUNGEN DER LIEFERKETTE AN DIE PRODUKTSICHERHEIT
Sicherheitslücken in der Lieferkette spielen in der CRA eine große Rolle. Die Schwere der Risiken in der Lieferkette rechtfertigt rigorose Minderungsmaßnahmen. Die Ratingagentur ist sich dieser Herausforderungen bewusst und erörtert das Risiko der Lieferkette aus verschiedenen Blickwinkeln.
PRODUKTSICHERHEIT
Aus Sicht der Produktsicherheit ist die CRA ziemlich direkt, wenn es um Abschnitt 1 der grundlegenden Sicherheitsanforderungen geht, die Risiken in der Lieferkette betreffen: Sie verlangt vom Hersteller, sicherzustellen, dass das Produkt zum Zeitpunkt der Veröffentlichung frei von bekannten ausnutzbaren Sicherheitslücken ist und dass dieses Sicherheitsniveau während des gesamten Produktlebenszyklus aufrechterhalten wird. Die naheliegende Strategie zur Erfüllung dieser Anforderung besteht darin, sich ausschließlich auf die neuesten Versionen von Drittanbieter-Abhängigkeiten zu verlassen, die frei von bekannten Sicherheitslücken sind (Common Vulnerabilities and Exposures/CVE4).
Um zu vermeiden, von bekannten Sicherheitslücken betroffen zu werden, bei denen es nicht möglich ist, einfach die neueste Softwareversion zu verwenden, müssen die Auswirkungen bekannter Sicherheitslücken bewertet und entweder als gemindert oder nicht zutreffend eingestuft werden, oder — falls sie tatsächlich ausnutzbar sind — auf individueller Ebene gemindert werden, z. B. durch Rückportierung von Sicherheitspatches. In der Regel ist die Folgenabschätzung, um festzustellen, ob bekannte Sicherheitslücken behoben werden müssen, ein manueller Prozess, bei dem die CVE, die zugehörigen Patches und die Ressourcen in Kombination mit der Zielumgebung oder dem Quellcode analysiert werden.
Um den Aufwand manueller Folgenabschätzungen für jede bekannte Sicherheitslücke zu reduzieren, kann eine binäre Software-Kompositionsanalyse (SCA), die in den Kontext der Konfiguration und Einrichtung des Zielprodukts gestellt wird, diesen Prozess enorm unterstützen, da bekannte Sicherheitslücken mit geringer Wahrscheinlichkeit, dass sie die Konfiguration des Zielprodukts beeinträchtigen, automatisch ermittelt und verworfen werden. Auf diese Weise kann der Schwerpunkt auf die Behebung der verbleibenden bekannten ausnutzbaren Sicherheitslücken gelegt werden. Binary SCA optimiert manuelle Folgenabschätzungen, indem Schwachstellen mit geringem Risiko automatisch ignoriert werden und der Schwerpunkt im Verhältnis zum Design des Zielprodukts auf ausnutzbare Schwachstellen gelegt wird.
Governance
Die CRA definiert zahlreiche Anforderungen, die auch Fragen im Zusammenhang mit der Lieferkette abdecken:
- Softwarekomponenten müssen identifiziert und eine Softwareliste (SBOM) muss verwaltet werden.
- Sicherheitslücken müssen unverzüglich behoben werden und Sicherheitsupdates müssen an die betroffenen Benutzer verteilt werden.
- Produkte müssen regelmäßig getestet und auf ihr Sicherheitsniveau überprüft werden.
- Für alle Komponenten von Drittanbietern ist die gebotene Sorgfalt erforderlich. Es muss sichergestellt werden, dass solche Komponenten das allgemeine Sicherheitsniveau des Produkts nicht gefährden.
WIE KANN DIE LIEFERKETTEN-STEUERUNG EINGEHALTEN WERDEN?
Jetzt ist die Einführung von Tools zur Analyse der Softwarekomposition von entscheidender Bedeutung. Die Analyse der Softwarezusammensetzung (SCA) beschreibt den automatisierten Prozess zur Bestimmung der Softwarekomponenten (Open Source und COTS), die in einem Endprodukt enthalten sind. Das Ergebnis einer SCA ist eine SBOM, die entweder aus Quellcode, Metadaten wie Paketmanagerinformationen oder aus einer Binärdarstellung abgeleitet wird. Da in der Regel nicht garantiert werden kann, dass Quellcode für alle Softwarekomponenten verfügbar ist, die von Drittanbietern entlang der Lieferkette bereitgestellt werden, kann SCA sich oft nur auf kompilierte binäre Repräsentationen einer Softwarekomponente verlassen.
Durch die Einbeziehung binärer SCA in den Prozess zur Identifizierung und Verwaltung von Sicherheitsrisiken im Zusammenhang mit Komponenten von Drittanbietern, die im Produkt verwendet werden, kann die Generierung des Inventars von Softwarekomponenten von Drittanbietern automatisiert werden. Dies wird erreicht, indem der binäre Firmware-Build dekonstruiert wird, um sicherzustellen, dass alle Softwarekomponenten, die letztendlich den Benutzern der Produkte zur Verfügung gestellt werden, untersucht werden können.
Die SBOM umfasst identifizierte Softwarekomponenten, zugehörige Versionen sowie das enthaltene Patch-Level. Dieselbe Folgenabschätzung bekannter Sicherheitslücken, die für die erste Version des Produkts durchgeführt wurde, muss für jede neu veröffentlichte Sicherheitslücke, die einen Teil des Produkts betrifft, wiederholt werden. Basierend auf der SBOM können bekannte Sicherheitslücken identifiziert werden, die jeden Teil des Produkts betreffen. Dieser Vorgang muss regelmäßig wiederholt werden, um einen aktuellen Überblick über die Sicherheitslücken zu erhalten, die das Produkt betreffen.
SBOMS MÜSSEN DEN BINÄRCODE AUS DER LIEFERKETTE ENTHALTEN
Ein automatisiertes „Security Quality Gate“ mit binärem SCA als Teil des Build-Prozesses unterstützt den Prozess der Überprüfung, dass ein Produkt oder Produkt-Upgrade erst veröffentlicht wird, wenn die sicherheitsrelevanten Probleme behoben wurden. Da Release-Pipelines automatisch ausfallen, wenn ausnutzbare Sicherheitslücken identifiziert werden, kann sichergestellt werden, dass sicherheitsrelevante Probleme, die durch Software von Drittanbietern verursacht werden, so früh wie möglich behoben werden.
Die ONEKEY Product Security Platform ermöglicht es Herstellern (Händler/Importeur), ihre Produktsicherheit in mehreren Schritten während des gesamten Produktlebenszyklus zu automatisieren:
Die einzigartige und proprietäre Binärextraktionstechnologie von ONEKEY ermöglicht eine tiefere und genauere Analyse des binären Firmware-Images, ohne dass Quellcode erforderlich ist. ONEKEY generiert automatisch eine detaillierte SBOM, einschließlich der Softwareabhängigkeiten auf allen Ebenen der Firmware. Als Nächstes verwendet ONEKEY auf der Grundlage künstlicher Intelligenz und maschinellen Lernens einen NLP-Ansatz (Natural Language Processing), um festzustellen, ob es öffentlich bekannte Sicherheitslücken gibt, die diese Softwareversion betreffen. Darüber hinaus analysiert der KI/ML-basierte Ansatz von ONEKEY automatisch die Voraussetzungen für die Ausnutzbarkeit der Sicherheitslücken. In einer integrierten, automatisierten Folgenabschätzung wird das Zielgerät analysiert, ob die Voraussetzungen für die Ausnutzbarkeit erfüllt sind, und nicht relevante Sicherheitslücken herausgefiltert. Dieser einzigartige Ansatz verkürzt die Reaktionszeiten, da die manuelle Folgenabschätzung erheblich reduziert wird und die Möglichkeit besteht, dass Entwicklungs- und Product Security Incident Response Teams (PSIRT) eingesetzt werden
Die ONEKEY Product Security Platform bietet automatisierte Sicherheitsprozesse und -kontrollen, die im EU-Cyber Resilience Act vorgeschrieben sind:
ONEKEY kann eine SBOM einfach aus einem binären Firmware-Image generieren. Die SBOM kann sowohl in maschinenlesbaren (d. h. CyclonedX, SPDX) als auch in menschenlesbaren Formaten (CSV, EXCEL) exportiert werden, um sie anderen Systemen, Endbenutzern und Aufsichtsbehörden zur Verfügung zu stellen. Das Firmware-Monitoring von ONEKEY analysiert das Zielprodukt täglich auf neue Zero-Day-Schwachstellen oder bekannte Sicherheitslücken und führt automatische AI/ML-basierte Folgenabschätzungen für alle identifizierten Sicherheitslücken durch. Dies ermöglicht es Herstellern, in kürzester Zeit auf neue Sicherheitslücken zu reagieren und Sicherheitspatches zu erstellen und zu verteilen. Analyse und Überwachung zur automatisierten Sicherheitsprüfung von Komponenten von Drittanbietern — richten Sie ONEKEY einfach als Quality Gate für alle Komponenten oder Produkte von Drittanbietern ein.
CRA MELDEPFLICHTEN
ANFORDERUNGEN DER LIEFERKETTE AN DIE BERICHTERSTATTUNG
Ein zentrales Ziel der CRA ist die Förderung des Austauschs und der Zusammenarbeit zwischen verschiedenen Interessengruppen in digitalen Ökosystemen. Daher müssen Nutzer und Marktüberwachungsbehörden mit relevanten sicherheitsrelevanten Informationen über Produkte versorgt werden, und es ist notwendig, CRA-spezifische Unterlagen zur Verfügung zu stellen.
- Die Hersteller sind verpflichtet, während der Lebensdauer des Produkts Informationen über ausgenutzte Sicherheitslücken an die Marktüberwachungsbehörden und die ENISA weiterzugeben. Dazu gehören auch Sicherheitslücken, die Komponenten von Drittanbietern betreffen, die in einem Produkt enthalten sind.
- Benutzer und Behörden müssen darüber informiert werden, welche Maßnahmen zur Schadensbegrenzung ergriffen werden können und wann Sicherheitspatches verfügbar sind.
- Darüber hinaus müssen Hersteller von Drittanbieterkomponenten und Betreuer von Open-Source-Software informiert werden, wenn Anwendungen, die unter ihrer Kontrolle stehen, von einer Sicherheitslücke betroffen sind.
AUSWIRKUNGEN AUF HÄNDLER
UND IMPORTEURE
Diese Anforderungen unterstreichen, dass Sicherheit nicht nur eine einmalige Anstrengung ist. Es ist ein Prozess und erfordert eine kontinuierliche Wartung. Regelmäßige Überprüfung der SBOM einer Firmware auf neu veröffentlichte Sicherheitslücken. Gehen Sie proaktiv auf diese Anforderung ein und unterstützen Sie die Überprüfung und Bewertung sicherheitsrelevanter Probleme, indem die Anwendbarkeit validiert und die Auswirkungen auf das Produkt bestimmt werden.
Händlern und Importeuren fehlen häufig die technischen Fähigkeiten und die notwendigen Einblicke in die betroffenen Produkte, um die Einhaltung der CRA zuverlässig feststellen zu können. Um sich nicht ausschließlich auf die Selbsteinschätzung des Herstellers zu verlassen, können Händler und Importeure dieselben Techniken anwenden, um die SBOM aus der Binärdatei zu generieren Firmware und um alle bekannten ausnutzbaren Sicherheitslücken aufzudecken.
UNTERSTÜTZUNG für CRA EINHALTUNG?
Strenge Sicherheits- und Berichtspraktiken, wie sie von der CRA gefordert werden, erhöhen den Aufwand für die bestehenden Produktentwicklungszyklen. Dennoch sind sie eine Notwendigkeit, um den heutigen erhöhten Sicherheitsanforderungen und der ständig wachsenden Bedrohungslandschaft gerecht zu werden. Und natürlich, um die regulatorischen Anforderungen der ENISA zu erfüllen und Strafen von bis zu 15 Millionen Euro oder 2,5% des weltweiten Jahresumsatzes zu vermeiden.
Es stehen in der ONEKEY Plattform verschiedene Tools zur Verfügung, um die Dokumentation, Prozesse und die Automatisierung der Cybersicherheit zu verbessern. Um die Einführung von CRA zu erleichtern, steht innerhalb der Produktsicherheitsplattform von ONEKEY ein automatisierter Support zur Verfügung, der das Schwachstellenmanagement oder die Bewertung der Lieferkette unterstützt und bei der Erfüllung der Berichts- und Dokumentationsanforderungen hilft. Darüber hinaus bietet ONEKEY fachkundige Beratung und Beratungsressourcen, um Hersteller, Importeure und Händler bei der Einhaltung der CRA zu unterstützen.
AUTOMATION & SUPPORT TO ACHIEVE & MAINTAIN CRA SECURITY REQUIREMENTS & COMPLIANCE
ONEKEY’S SECURITY EXPERTS’ ADVICE & AUTOMATION
In addition to reducing manual efforts by adding automated controls to processes required by the CRA, ONEKEY aids manufacturers, importers, and distributors of products with digital elements in adopting processes required by the CRA with gap analyses and implementation support.
ONEKEY‘s automated firmware security analysis platform can automatically detect and report violations of essential cybersecurity requirements as defined in Section 1 of Annex I of the CRA. Expanding on ONEKEY’s automated capabilities, ONEKEY’s technical experts and security researchers are also available to identify gaps to a product’s adherence to the CRA and to conduct penetration tests and vulnerability assessments on affected connected devices.
KEY TAKE AWAYS
Manufacturers need to act now to ensure product compliance:
- With attacks on connected devices on the rise, ENISA has defined essential requirements to increase the level of security of connected devices and established a framework to foster cooperation and information sharing on new vulnerabilities and emerging threats.
- CRA provides the toolset to produce such cyber-resilient connected devices, especially from a supply-chain risk’s perspective.
- To meet elevated security and compliance requirements and to tackle supply-chain risks, implementation of automated security and compliance controls, i.e., holistic binary software analysis, are required. Automated initial software analysis and continuous monitoring will substantially reduce efforts for implementation and maintaining CRA compliance.
- The ONEKEY platform automates essential cybersecurity and compliance processes, as required by the CRA. Vulnerability management, assessment, prioritization and monitoring are practically automated, and the required reporting obligation is also met through extensive reporting.
Interested in further discussion with our security experts on how to achieve and maintain your CRA product security compliance? Please contact our security experts at: experts@onekey.com
Ready to automate your Product Cybersecurity & Compliance?
Make cybersecurity and compliance efficient and effective with ONEKEY.